L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Red Hat Single Sign-On

annonce de vulnérabilité CVE-2019-3888

Undertow : obtention d'information via UndertowLogger.REQUEST_LOGGER.undertowRequestFailed

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via UndertowLogger.REQUEST_LOGGER.undertowRequestFailed de Undertow, afin d'obtenir des informations sensibles.
Produits concernés : JBoss EAP par Red Hat, Red Hat SSO.
Gravité : 1/4.
Conséquences : lecture de données.
Provenance : shell utilisateur.
Date création : 11/06/2019.
Références : CVE-2019-3888, RHSA-2019:1419-01, RHSA-2019:1420-01, RHSA-2019:1421-01, RHSA-2019:1424-01, RHSA-2019:1456-01, VIGILANCE-VUL-29492.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via UndertowLogger.REQUEST_LOGGER.undertowRequestFailed de Undertow, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2019-3894

Red Hat JBoss Enterprise Application Platform, WildFly : élévation de privilèges via ElytronManagedThread

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions via ElytronManagedThread de Red Hat JBoss Enterprise Application Platform, afin d'élever ses privilèges.
Produits concernés : JBoss EAP par Red Hat, Red Hat SSO, WildFly.
Gravité : 1/4.
Conséquences : accès/droits administrateur, accès/droits privilégié.
Provenance : serveur intranet.
Date création : 06/05/2019.
Références : CVE-2019-3894, RHSA-2019:1106-01, RHSA-2019:1107-01, RHSA-2019:1108-01, RHSA-2019:1140-01, VIGILANCE-VUL-29228.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions via ElytronManagedThread de Red Hat JBoss Enterprise Application Platform, afin d'élever ses privilèges.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2019-3805

WildFly : élévation de privilèges via PID File

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions via PID File de WildFly, afin d'élever ses privilèges.
Produits concernés : JBoss EAP par Red Hat, Red Hat SSO, WildFly.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, déni de service du serveur.
Provenance : shell utilisateur.
Date création : 06/05/2019.
Références : CVE-2019-3805, RHSA-2019:1106-01, RHSA-2019:1107-01, RHSA-2019:1108-01, RHSA-2019:1140-01, VIGILANCE-VUL-29227.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions via PID File de WildFly, afin d'élever ses privilèges.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité CVE-2019-3868

Red Hat Single Sign-On : élévation de privilèges

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions de Red Hat Single Sign-On, afin d'élever ses privilèges.
Produits concernés : RHEL, Red Hat SSO.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié.
Provenance : client internet.
Date création : 24/04/2019.
Références : CVE-2019-3868, RHSA-2019:0856-01, RHSA-2019:0857-01, RHSA-2019:1140-01, VIGILANCE-VUL-29121.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions de Red Hat Single Sign-On, afin d'élever ses privilèges.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2019-10909 CVE-2019-11358

jQuery, Symfony : Cross Site Scripting via templates

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting via des modèles pour Symfony, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : Debian, Drupal Core, Fedora, Grafana, IBM API Connect, Joomla Extensions ~ non exhaustif, Red Hat SSO, Symfony, Synology DSM, TYPO3 Core.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 2.
Date création : 18/04/2019.
Références : CERTFR-2019-AVI-180, CVE-2019-10909, CVE-2019-11358, DLA-1777-1, DLA-1777-2, DLA-1778-1, DLA-1797-1, DRUPAL-SA-CORE-2019-005, DRUPAL-SA-CORE-2019-006, DSA-4434-1, DSA-4441-1, FEDORA-2019-2a7f472198, FEDORA-2019-32067d8b15, FEDORA-2019-3ee6a7adf2, FEDORA-2019-a3ca65028c, FEDORA-2019-f8db687840, ibm10882578, ibm10882596, ibm10882756, ibm10882762, ibm10882952, ibm10882956, RHSA-2019:1456-01, Synology-SA-19:19, TYPO3-CORE-SA-2019-009, TYPO3-CORE-SA-2019-010, TYPO3-CORE-SA-2019-011, TYPO3-CORE-SA-2019-012, TYPO3-CORE-SA-2019-013, TYPO3-PSA-2019-004, TYPO3-PSA-2019-005, TYPO3-PSA-2019-006, VIGILANCE-VUL-29070.

Description de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting via des modèles pour Symfony, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2019-11358

jQuery Core : élévation de privilèges via Object.prototype Pollution

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions via Object.prototype Pollution de jQuery Core, afin d'élever ses privilèges.
Produits concernés : Debian, Drupal Core, eZ Platform, Fedora, jQuery Core, Oracle Communications, WebLogic, Red Hat SSO, Synology DSM, Telerik.Web.UI.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, lecture de données.
Provenance : document.
Date création : 11/04/2019.
Références : cpujul2019, CVE-2019-11358, DLA-1797-1, DRUPAL-SA-CORE-2019-005, DRUPAL-SA-CORE-2019-006, DSA-4460-1, EZSA-2019-005, FEDORA-2019-2a0ce0c58c, FEDORA-2019-a06dffab1c, FEDORA-2019-f563e66380, RHSA-2019:1456-01, Synology-SA-19:19, VIGILANCE-VUL-29030.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions via Object.prototype Pollution de jQuery Core, afin d'élever ses privilèges.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2019-8331

Pivotal Ops Manager : Cross Site Scripting via Bootstrap

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting via Bootstrap de Pivotal Ops Manager, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : IBM API Connect, Red Hat SSO, TYPO3 Core.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : document.
Date création : 08/03/2019.
Références : CVE-2019-8331, ibm10879483, RHSA-2019:1456-01, TYPO3-CORE-SA-2019-009, TYPO3-CORE-SA-2019-010, TYPO3-CORE-SA-2019-011, TYPO3-CORE-SA-2019-012, TYPO3-CORE-SA-2019-013, TYPO3-PSA-2019-004, TYPO3-PSA-2019-005, TYPO3-PSA-2019-006, VIGILANCE-VUL-28700.

Description de la vulnérabilité

Le produit Pivotal Ops Manager dispose d'un service web.

Cependant, les données reçues via Bootstrap ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting via Bootstrap de Pivotal Ops Manager, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2018-11307

jackson-databind : obtention d'information via Default Typing

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Default Typing de jackson-databind, afin d'obtenir des informations sensibles.
Produits concernés : Debian, Oracle Communications, WebLogic, RHEL, JBoss EAP par Red Hat, Red Hat SSO.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : document.
Date création : 04/03/2019.
Références : cpujan2019, cpujul2019, CVE-2018-11307, DLA-1703-1, DSA-4452-1, RHSA-2019:0782-01, RHSA-2019:1106-01, RHSA-2019:1107-01, RHSA-2019:1108-01, RHSA-2019:1140-01, VIGILANCE-VUL-28642.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Default Typing de jackson-databind, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2018-14720

jackson-databind : injection d'entité XML externe via JDK Classes

Synthèse de la vulnérabilité

Un attaquant peut transmettre des données XML malveillantes via JDK Classes à jackson-databind, afin de lire un fichier, de scanner des sites, ou de mener un déni de service.
Produits concernés : Debian, Fedora, Oracle Communications, Oracle Fusion Middleware, Tuxedo, WebLogic, RHEL, JBoss EAP par Red Hat, Red Hat SSO.
Gravité : 2/4.
Conséquences : lecture de données, déni de service du service.
Provenance : document.
Date création : 19/02/2019.
Références : cpuapr2019, cpujan2019, CVE-2018-14720, DLA-1703-1, DSA-4452-1, FEDORA-2019-df57551f6d, RHSA-2019:0782-01, RHSA-2019:1106-01, RHSA-2019:1107-01, RHSA-2019:1108-01, RHSA-2019:1140-01, VIGILANCE-VUL-28548.

Description de la vulnérabilité

Un attaquant peut transmettre des données XML malveillantes via JDK Classes à jackson-databind, afin de lire un fichier, de scanner des sites, ou de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2018-14721

jackson-databind : obtention d'information via axis2-jaxws SSRF

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via axis2-jaxws SSRF de jackson-databind, afin d'obtenir des informations sensibles.
Produits concernés : Debian, Fedora, Oracle Communications, Oracle Fusion Middleware, Tuxedo, WebLogic, RHEL, JBoss EAP par Red Hat, Red Hat SSO.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : document.
Date création : 19/02/2019.
Références : cpuapr2019, cpujan2019, CVE-2018-14721, DLA-1703-1, DSA-4452-1, FEDORA-2019-df57551f6d, RHSA-2019:0782-01, RHSA-2019:1106-01, RHSA-2019:1107-01, RHSA-2019:1108-01, RHSA-2019:1140-01, VIGILANCE-VUL-28547.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via axis2-jaxws SSRF de jackson-databind, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Red Hat Single Sign-On :